I. NHẮC LẠI MỘT SỐ LÝ THUYẾT
Có 2 loại access-list.
Loại thứ nhất: Standard IP Access-list chỉ lọc dữ liệu dựa vào địa chỉ IP nguồn. Range của loại này là 1 – 99 hoặc 1300-1999 (expanded range). Nên được áp dụng với cổng gần đích nhất.
Loại thứ hai: Extended IP Access-list lọc dữ liệu dựa vào
- Địa chỉ IP nguồn và đích (Des Ip và Source IP)
- Giao thức (TCP, UDP,ICMP,…)
- Số cổng (HTTP, SSH, Telnet…)
- Các thông số khác như Windcard mask
- Range của loại này là 100 – 199 hoặc 2000-2699.
==>Nên được áp dụng với cổng gần nguồn nhất.
Hai bước để cấu hình Access-list
Bước 1: Tạo access-list trong chế độ cấu hình config.
Bước 2: Áp dụng access-list cho từng cổng tuỳ theo yêu cầu ở chế độ cấu hình (config-if)
Lưu ý:
Mặc định của tất cả Access-list là deny all, vì vậy trong tất cả các access-list tối thiểu phải có 1 lệnh permit. Nếu trong access-list có cả permit và deny thì nên để các dòng lệnh permit bên trên.
Về hướng của access-list (In/Out) khi áp dụng vào cổng có thể hiểu đơn giản là: In là từ host, Out là tới host hay In vào trong Router, còn Out là ra khỏi Router.
Đối với IN router kiểm tra gói tin trước khi nó được đưa tới bảng xử lý. Đối vơi OUT, router kiểm tra gói tin sau khi nó vào bảng xử lý.
Windcard mask được tính bằng công thức:
WM = 255.255.255.255 – Subnet mask (Áp dụng cho cả Classful và Classless addreess)
0.0.0.0 255.255.255.255 = any.
Ip address 0.0.0.0 = host ip address (chỉ định từng host một )
II. CẤU HÌNH STANDARD ACCESS LIST (VÍ DỤ)
Router(config)#access-list 1 deny 172.16.0.0 0.0.255.255
Router(config)#access-list 1 permit any
Router(config)#interface fastethernet 0/0
Router(config-in)#ip access-group 1 in
III. CẤU HÌNH EXTENDED ACCESS LIST (VÍ DỤ)
Router(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.1 eq telnet
Router(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.2 eq ftp
Router(config)#access-list 101 permit any any
Router(config)#interface fastethernet 0/0
Router(config-int)#ip access-group 101 out
IV. CẤU HÌNH NAMED ACCESS LIST THAY CHO SỐ HIỆU
Router(config)#ip access-list extended server-access (tên của access-list)
Router(config-ext-nacl)#permit tcp any host 192.168.1.3 eq telnet
Router(config)#interface fastethernet 0/0
Router(config-int)#ip access-group server-access out
V. PERMIT HOẶC DENY TELNET SỬ DỤNG STANDARD ACL (VÍ DỤ)
Router(config)#access-list 2 permit 172.16.0.0 0.0.255.255
Router(config)#access-list 2 deny any
Router(config)#line vty 0 4
Router(config-line)#password cisco
Router(config-line)#login
Router(config-line)#ip access-class 2 in
VI. XÓA VÀ KIỂM TRA ACCESS LIST
Muốn xoá thì ta dùng lệnh sau:
Router(config)# no ip access-list số hiệu
Kiểm tra Acl ta dùng các lệnh sau:
show access-list: Hiện bảng Access List
show running-config: Hiện ra các thao tác cấu hình
show ip interface: Hiện thông tin của các interface
Sưu tầm by tuanvdqb@yahoo.com